Veille menaces / Fuite de données
CAF : les données de 1,6 million d'allocataires extraites de la plateforme d'aide aux vacances Vacaf
La Cnaf indique que les données de 1 619 893 allocataires des Caf ont été extraites de vacaf.org, la plateforme du dispositif d'aide aux vacances. Selon le CERT-FR, les attaquants ont utilisé des identifiants de comptes de partenaires volés par des infostealers, sans double authentification, et une URL qui exposait les identifiants des dossiers, pour extraire les données de façon automatisée entre le 8 et le 10 octobre 2026. Noms, matricules, composition du foyer, quotient familial, ainsi que nom, prénom et date de naissance des enfants ont été pris ; ni données bancaires, ni mots de passe, ni coordonnées, selon la Cnaf. La plateforme a rouvert le 2 novembre avec une double authentification.
- Secteur
- Public et politique
- Point d'entrée
- Identifiants volés
- Produit ou fournisseur
- Aucun nommé
- Comment c'est arrivé
- Selon le CERT-FR, « la compromission d'identifiants de comptes de partenaires issus d'infostealers (sans double authentification) et l'exploitation d'une URL exposant les identifiants des dossiers (IDOR) » ont permis une extraction automatisée de données entre le 8 et le 10 octobre. Le CERT-FR ne nomme pas les partenaires. Le site vacaf.org est hébergé par un prestataire externe et géré par la Caf de l'Hérault pour le réseau des Caf, indiquait la Cnaf le 10 octobre.[3][1] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Nom, prénom, Caf de rattachement, matricule allocataire, composition du foyer et quotient familial, ainsi que certaines informations sur les enfants (nom, prénom, date de naissance) et sur les aides aux vacances auxquelles ils sont éligibles, selon la Cnaf. « Aucune donnée bancaire, ni aucun mot de passe de connexion aux services en ligne des Caf » ne sont concernés, et aucune coordonnée de contact (e-mail, téléphone, adresse postale) n'a été captée.[2][3] Vérifié le 14 nov. 2026
- Qui est touché
- « 1 619 893 allocataires des Caf sont concernés », indique la Cnaf ; le CERT-FR compte près de 1,2 million de dossiers. Le versement des prestations n'a pas été touché. Les nouvelles réservations Vacaf ont été suspendues pendant la fermeture de la plateforme, du 10 octobre au 2 novembre.[2][3][1] Vérifié le 14 nov. 2026
- Acteur
- Non attribué
Chronologie
- Début de l'extraction automatisée de données sur vacaf.org, qui dure jusqu'au 10 octobre, selon le CERT-FR. [3]
- La violation est détectée à la suite d'une mise en vente de bases de données, selon le CERT-FR. La Cnaf indique qu'une fuite des données des bénéficiaires a été signalée le soir même. [3][1]
- La Cnaf annonce l'incident et suspend l'accès à vacaf.org. Elle indique que l'ANSSI et la CNIL ont été informées. [1]
- La Cnaf et la Caf de l'Hérault déposent conjointement plainte auprès du parquet de Paris. [2]
- La Cnaf présente les conclusions de ses investigations : 1 619 893 allocataires concernés. vacaf.org rouvre après des tests d'intrusion, avec une double authentification et des protections renforcées contre les accès malveillants. [2]
- Le point de situation REACTIV d'octobre du CERT-FR décrit le point d'entrée : des identifiants de partenaires volés par des infostealers, sans double authentification, et une faille IDOR. [3]